0x00概述

百度智云盾团队在2021年1月首次捕获到利用Plex（媒体播放平台）的网络服务发起的DDoS反射攻击。据现有资料表明，这种反射攻击方式尚属全网首次出现，智云盾系统在2秒内识别攻击，实时对流量做了隔离和清洗，保障用户免遭DDoS的伤害。

本次攻击事件中黑客利用了基于Plex服务发起的DDoS反射攻击，Plex是一套媒体播放平台，基于UDP协议提供服务，由于UDP协议的不可靠性质，导致开启该服务的主机容易被黑客利用作为反射源进行DDoS反射攻击。

0x01反射原理

攻击者采用反射方式实施DDoS攻击时，不是直接攻击受害者IP，而是伪造了大量受害者IP的请求发给相应的开放服务，通常这类开放服务不对源进行校验而是立即完成响应，这样更大更多的响应数据包发送到受害者IP，从而实现了流量的反射，这类开放服务就是反射源。

原理如下图所示：

图1 反射攻击原理示意图

图1中攻击者P伪造了请求包BA并发送到PA，但BA的源IP是PV，所以PA响应的时候发送BV给到PV。

反射攻击一方面隐藏了攻击IP，同时还有一个重要特征是放大，上述原理图中的BV往往是BA的好几倍，甚至是成千上万倍。正是有了这样的特性，黑客组织乐此不疲的使用这一攻击方式，并不断的研究新型反射攻击增强攻击效果。

0x02攻击分析

智云盾系统检测到攻击时，自动对攻击流量进行采样，安全专家对采样包及时进行了深层次的分析和演练。本次攻击事件共涉及反射源2451个。

攻击包分析

通过分析智云盾的攻击采样包发现，反射流量的端口来自于32414端口，下图红色箭头指向的是反射源端口：

图2 采样包内攻击来源端口图

采样包中udp携带的攻击载荷如下图所示：

图3 攻击载荷

数据包中的攻击载荷固定包含plex/media-server，通过搜索分析，这是一套媒体播放平台的服务器软件。攻击载荷如下图所示：

图4 格式化后的攻击载荷

攻击模拟

为了进一步分析，我们在一台纯净的ubuntu16.04上安装了Plex服务，安装完成后查看服务绑定的端口号，如下图所示：

图5

可以看到Plex服务监听32410、32412、32413和32414四个udp端口，通过对攻击载荷的分析，并借鉴设备查询请求的消息格式，我们编写软件向这几个端口发送攻击载荷为M-SEARCH * HTTP/1.1的udp数据包，并针对反射源IP进行抓包，最后发现32410与32414均有响应。复现攻击如下图所示：

图6 反射源的响应

图7 抓包结果

我们在模拟攻击请求的验证中，发出一个载荷长度为20字节，获取到的响应包载荷为258字节。

放大倍数

按照我们前期对反射倍数的研究结果，科学的统计放大倍数，应当包括数据包协议头和网络帧间隙。详细的方案可以参阅《MEMCACHED DRDoS攻击趋势》一文。

协议头和网络帧间隙计算为：14（以太头）+20（IP头）+8（UDP头）+4（FCS头）+20（帧间隙）=66字节，所以计算实际响应的数据包大小为258+66=324字节，请求包大小为20+66=86字节。

最终我们计算得到的放大倍数为324/86=3.77倍。

对比udpflood可以伪造大数据包攻击，3.77倍的放大攻击实际能达到的效果并不理想，攻击者之所以热衷于此类探索，一方面是反射攻击是个『技术活』，另一方面他们还有一个倍数『更大』的计算方法，业内也比较流行，就是只计算请求响应的载荷比。这里的Plex反射则可以达到258/20=12.9倍，放大倍数一下就超过了10倍。

0x03反射源分析

Plex服务介绍

Plex是一套全面的影音媒体播放平台，包括一整套媒体播放器及服务器软件，个人用户可以利用这个平台整理电脑、NAS、XBOX等设备上的电影、音乐、电视和图片文件，并可以方便的在朋友间分享。Plex服务向个人用户免费开放，支持大多数平台，随着家庭影音的普及，相信未来部署Plex服务系统或设备会越来越多。

全网数据

我们在shodan、zoomeye等全网扫描数据库中查询32410、32414等端口获取到的IP数据非常少，说明当前Plex服务受关注度还比较低。

受限于其他原因，我们没有对Plex服务进行全网扫描。

反射源分析

对参与此次攻击的反射源进行了调查分析，其中被利用的反射源主要来源于海外。下图是IP分布情况：

图8 反射源IP分布

通过分析攻击包载荷中的name字段（主机标识）可以发现，主机标识大多数不重复，且未使用默认的主机标识，多数为个人用户配置使用。下图展示了此次攻击的反射源主机信息：

图9 反射源的主机信息

0x04防范建议

反射攻击与传统的flood攻击相比，能更好的隐藏攻击者，并且产生的流量更大，因而反射攻击越来越受到黑客青睐。

建议参考以下方式提升防护能力。

• 对互联网服务应避免被滥用，充当黑客攻击的帮凶

  1. 禁用UDP服务，不能禁用时，应确保响应与请求不要有倍数关系

  2. 启用的UDP服务应采取授权认证，对未授权请求不予响应

• 对企业用户应做好防范，减少DDoS对自有网络和业务的影响

  1. 如果没有UDP相关业务，可以在上层交换机或者本机防火墙过滤UDP包

  2. 寻求运营商提供UDP黑洞的IP网段做对外网站服务

  3. 选择接入DDoS云防安全服务对抗大规模的DDoS攻击

DDoS攻击防护：https://anquan.baidu.com/productDetail/1